Vulnerabilidades críticas en Langflow permiten la ejecución remota de código sin autenticación

IBM ha revelado dos vulnerabilidades de seguridad críticas en Langflow, una plataforma de código abierto para construir agentes de IA y flujos de trabajo. Estos fallos, presentes en todas las versiones desde la 1.0.0 hasta la 1.12.8, permiten a los atacantes remotos saltarse la autenticación o ejecutar código arbitrario en los servidores afectados sin necesidad de tener una cuenta. La única solución es actualizar a la versión 1.13.0, publicada el 22 de octubre.

Qué ocurrió

Langflow funciona como una interfaz visual para crear aplicaciones basadas en modelos de lenguaje grandes (LLM), permitiendo a los desarrolladores encadenar componentes en flujos de trabajo complejos. Dado que estos flujos suelen manejar datos sensibles y conectarse a diversos servicios externos, la postura de seguridad de la plataforma es crucial para los despliegues empresariales. IBM, que gestiona los informes de vulnerabilidad del proyecto, publicó un boletín el 28 de octubre detallando cuatro fallos específicos, dos de los cuales están clasificados como críticos con una puntuación CVSS de 9.8.

Los problemas más graves implican controles de autenticación inadecuados y una regulación insuficiente de la generación de código. Concretamente, CVE-2026-93680 permite a un atacante evadir por completo las restricciones de seguridad, mientras que CVE-2026-110186 habilita la ejecución de código arbitrario. Ambas vulnerabilidades pueden ser explotadas por usuarios no autenticados, lo que significa que no se requieren credenciales de inicio de sesión válidas para iniciar un ataque. Un tercer fallo de severidad alta, CVE-2026-110193, requiere una cuenta con privilegios bajos, pero aún así permite la ejecución de comandos del sistema operativo mediante el Agentic Assistant.

Según la actualización del 30 de octubre del catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA, ninguno de estos dos fallos críticos figura en la lista, aunque allí se rastrean actualmente otras seis vulnerabilidades de Langflow. No obstante, el riesgo sigue siendo agudo porque ya existe un módulo para Metasploit Framework que explota la vulnerabilidad de bypass de autenticación, CVE-2026-93680. Esto indica que las herramientas de explotación activa están disponibles públicamente, aumentando la probabilidad de ataques oportunistas contra instancias sin parchear.

Cómo funciona

La vulnerabilidad de bypass de autenticación proviene de cómo Langflow maneja el Model Context Protocol (MCP). MCP permite a Langflow exponer sus flujos de trabajo como herramientas para otras aplicaciones de IA. IBM señala que uno de los fallos implica "ejecución remota de código sin autenticación, explotable mediante la enumeración de herramientas del protocolo de contexto del modelo". Un atacante puede conectarse al endpoint MCP del servidor Langflow sin proporcionar credenciales, iniciar una sesión y enumerar las herramientas disponibles. En configuraciones donde el inicio de sesión automático está habilitado, este acceso puede escalar rápidamente.

El inicio de sesión automático está controlado por la configuración LANGFLOW_AUTO_LOGIN, que está habilitada por defecto en la versión 1.12.8. Cuando está activa, esta configuración inicia sesión a los usuarios como superusuarios sin solicitar contraseña. La documentación del código advierte explícitamente que esta función "omite la autenticación y solo debe usarse en entornos de desarrollo". A pesar de esta advertencia, su estado predeterminado en las versiones recientes expone a muchos despliegues similares a producción al riesgo. El módulo de Metasploit dirigido a este problema fue probado en Langflow 1.8.4 con el inicio de sesión automático activado, demostrando cuán fácilmente un atacante puede obtener acceso privilegiado.

El segundo fallo crítico, CVE-2026-110186, se relaciona con el control inadecuado de la generación de código. Esta vulnerabilidad permite a un atacante inyectar y ejecutar código arbitrario en el servidor. IBM describe esto como una remediación incompleta de un control anterior de seguridad de inicio de sesión automático. No queda claro en el boletín si los servidores con el inicio de sesión automático deshabilitado explícitamente siguen siendo vulnerables a esta ruta específica de ejecución de código, pero el amplio alcance de las versiones afectadas sugiere un problema arraigado en la arquitectura central en lugar de un simple error de configuración.

Detalles clave

• Versiones afectadas: Todas las versiones de Langflow desde la 1.0.0 hasta la 1.12.8 son vulnerables.
• Versión corregida: Solo la versión 1.13.0, publicada el 22 de octubre, aborda estos fallos.
• CVEs críticos: CVE-2026-93680 (bypass de autenticación) y CVE-2026-110186 (ejecución arbitraria de código) tienen ambas una puntuación CVSS de 9.8.
• Disponibilidad de exploits: Existe un módulo de Metasploit para CVE-2026-93680, que facilita el acceso no autenticado a los endpoints MCP.
• Riesgo de configuración predeterminada: La configuración LANGFLOW_AUTO_LOGIN está habilitada por defecto en la versión 1.12.8, otorgando privilegios de superusuario sin autenticación.
• Sin soluciones provisionales: IBM afirma que no existen soluciones efectivas para servidores que no puedan actualizarse inmediatamente.

Por qué importa

Para los equipos de ingeniería que usan Langflow para prototipar o desplegar agentes de IA, estas vulnerabilidades representan un riesgo significativo en la cadena de suministro. La combinación de acceso no autenticado y ejecución arbitraria de código significa que cualquier instancia de Langflow expuesta podría verse completamente comprometida. Los atacantes podrían robar credenciales sensibles, manipular flujos de trabajo de IA o usar el servidor como punto de pivote para intrusiones adicionales en la red. El hecho de que el módulo de exploit ya sea público reduce la barrera de entrada para actores de amenazas menos sofisticados, haciendo esencial el parcheo rápido.

La habilitación predeterminada del inicio de sesión automático en las versiones recientes destaca una tensión común en las herramientas de desarrollo entre la facilidad de uso y la seguridad. Aunque es conveniente para el desarrollo local, incluir dichas configuraciones en los valores predeterminados para lanzamientos más amplios puede llevar a una exposición generalizada cuando los desarrolladores olvidan endurecer las configuraciones antes del despliegue. Este incidente subraya la necesidad de revisiones de seguridad rigurosas de las configuraciones predeterminadas en las herramientas de infraestructura de IA de código abierto, especialmente aquellas que gestionan la ejecución de código y los comportamientos de los agentes.

Qué puedes hacer

• Actualiza inmediatamente: Actualiza tu instalación de Langflow a la versión 1.13.0 usando pip o Docker.
• Haz copias de seguridad: Antes de actualizar, haz una copia de seguridad de tu base de datos, clave secreta y archivos subidos para evitar la pérdida de datos.
• Prepárate para cambios de autenticación: Si usas el inicio de sesión automático, prepara las cuentas existentes para el inicio de sesión basado en contraseña según la guía de actualización de Langflow.
• Usa la imagen Docker correcta: Cambia a la imagen langflowai/langflow:1.13.0 preservando los volúmenes de datos persistentes.
• Sigue los pasos de recuperación: Si pierdes el acceso después de actualizar, utiliza los pasos oficiales de recuperación en lugar de reinstalar, lo cual puede eliminar los flujos.
• Monitorea las actualizaciones: Mantente atento a los boletines de seguridad de IBM y al catálogo de CISA para cualquier novedad respecto a estos CVEs.